REP27 · Processeurs
Article 27 GDPR · Processeurs
Les processeurs sont couverts par l'article 27 dans les mêmes conditions que les responsables du traitement, et presque aucun d'entre eux ne le sait. L'hypothèse est que la désignation du client couvre la chaîne d'approvisionnement. Ce n'est pas le cas : une désignation couvre l'entité qui l'a signée, donc un fournisseur d'hébergement, un service d'assistance, un fournisseur d'analytique ou une opération de BPO en dehors de l'Union a besoin de la sienne.
L'obligation est identique ; trois choses pratiques à ce sujet ne le sont pas.
Article 30(2) plutôt que 30(1) : catégories de traitement par responsable, transferts et description générale des mesures de sécurité.
Les demandes qui vous parviennent sont transmises au responsable en vertu de votre contrat Article 28, et non répondues par vous.
Vous apparaissez dans l'avis de confidentialité de votre client, et non dans le vôtre destiné aux consommateurs — c'est pourquoi l'obligation est si facile à négliger.
L'équipe d'approvisionnement de votre client, et non un régulateur, est généralement la première à demander la désignation.
| Type de fournisseur | Rôle | Représentant nécessaire |
|---|---|---|
| Hébergement cloud en dehors de l'UE | Processeur | Oui |
| Support client externalisé | Processeur | Oui |
| Plateforme de paie ou RH | Processeur | Oui |
| Fournisseur d'analytique avec identifiants d'utilisateur | Processeur, parfois responsable conjoint | Oui |
| Sous-traitant de ce qui précède | Processeur | Oui |
| Fournisseur qui ne touche jamais aux données personnelles | Ni | Non |
Les contrôleurs européens ont passé des années à cartographier leurs processeurs. Ce que presque personne n'a cartographié, c'est de savoir si ces processeurs sont eux-mêmes dans le cadre de l'Article 3(2) et, le cas échéant, s'ils ont une désignation propre.
La chaîne est généralement plus longue que ne le suggère le contrat. Un détaillant européen utilise une plateforme de commerce électronique américaine, qui utilise un fournisseur de recherche canadien, qui utilise un service d'assistance indien. Chacun des trois est un processeur ou sous-processeur établi en dehors de l'Union, chacun traite des données personnelles de personnes dans l'Union, et chacun a besoin de son propre représentant. La désignation du détaillant couvre le détaillant, et rien d'autre.
Cela commence à apparaître dans la diligence raisonnable. L'Article 28(1) exige que les contrôleurs n'utilisent que des processeurs fournissant des garanties suffisantes, et les questionnaires plus sophistiqués demandent désormais non seulement votre représentant mais aussi la confirmation que vos propres sous-processeurs en ont un. Être capable de répondre rapidement à cela devient un facteur de différenciation parmi les fournisseurs qui se disputent le même compte européen.
Pour un sous-processeur, le calcul est simple. La désignation coûte moins que le temps passé à expliquer son absence lors d'un cycle d'approvisionnement unique.
Oui. L'Article 27(1) fait référence aux contrôleurs et aux processeurs, et les Lignes directrices 3/2018 de l'EDPB le confirment. Un processeur établi en dehors de l'Union qui traite des données personnelles de personnes dans l'Union, pour le compte de tout client, doit désigner un représentant propre.
Non. Une désignation couvre l'entité qui l'a signée. Le représentant de votre client a été mandaté par votre client, n'a aucune relation avec vous, et ne peut pas répondre de votre traitement. C'est l'erreur la plus courante que nous corrigeons sur les fichiers des processeurs.
Le registre en vertu de l'Article 30(2) : les catégories de traitement effectuées pour le compte de chaque contrôleur, les transferts que vous effectuez, et une description générale de vos mesures de sécurité. Pas le registre complet du contrôleur en vertu de l'Article 30(1).
La demande est enregistrée, référencée et transmise à vous, et vous la dirigez vers le contrôleur dont les données sont concernées en vertu de votre contrat de l'Article 28. Ni vous ni le représentant ne décidez du résultat — le contrôleur répond sur le fond.
Pas en principe. Les sous-processeurs sont des processeurs, et le test territorial de l'Article 3(2) s'applique à votre propre activité. En pratique, les sous-processeurs sont souvent les derniers de la chaîne à être nommés, c'est pourquoi les acheteurs d'entreprise posent désormais des questions à leur sujet de manière explicite.
Non. L'Article 27(5) précise que la désignation d'un représentant n'affecte pas les actions légales contre le contrôleur ou le processeur lui-même. Cela crée un point de contact, pas un transfert de responsabilité.
De plus en plus, oui. Les contrôleurs européens sont tenus en vertu de l'Article 28 d'utiliser uniquement des processeurs fournissant des garanties suffisantes, et leurs questionnaires de fournisseurs incluent désormais le nom et l'adresse du représentant comme élément de ligne.
Avec le registre de l'Article 30(2) détenu à l'intérieur de l'Union, donc les questionnaires de vos clients ne stagnent plus.
Nommez-nous